实战SRC付出购买发掘案例

实战SRC付出购买发掘案例

越权让他人付出：

https://forum.butian.net/share/1125
四舍五入半价购：

这个毛病前次看小同伴交的补天，得到了厂商1.2k的奖金，怎样操纵呢，我们来分析分析。我们以充值为例，余额值一样寻常生存到分为止，那么假如我充值0.001元也就是1厘，一样寻常开辟会在前端判断我们的数字，大概将末了一位四舍五入，使用付出宝大概微信充值是直接报错的，由于第三方一样寻常只支持到分(0.01)。
那我们假如充值0.019呢，由于付出宝或微信只判断到分，以是导致只能付出0.01，而由于我们付出乐成，前端会将9四舍五入，直接变成0.02，以是即是直接半价充值。(这个毛病京东也是有的，不事厥后修复了。)

并发提前全签到

接纳时间验证，直接改装备时间，
没有验证，直接修改数据包对应发包
循环使用优惠券

条件是2、关闭订单后还能重新付出
付出签约多逻辑

各人都知道有些软件推出了新用户的会员签约功能，新的用户初次签约付费时能以低价购买会员，这个时间就实行想白嫖多个月的低价会员了。
于是开始第一次测试——使用付出宝打开签约界面，然后使用微信也同时打签约界面，然后再依次付出，付出后体系提示，无法重复签约。
我想难到体系有检测？舍不得孩子套不到狼，于是申请个新号再次举行测试：
还是同时付出宝和微信都打开了签约界面，但这次先签约此中一个比如先签约微信；
微信付出乐成并签约完成后，在微信取消自动续费，然后再去付出宝点击签约；
这个时间古迹就发生了，体系乐成到账了2个月的低价会员！
也就是说服务器固然校验了同一新用户不能同时多次低价签约，但是对于新用户同时发起的多个付出签约页面的哀求，服务器没有校验解约后再次签约的情况，导致乐成白嫖！以上的一个业务逻辑流程大抵如下图：

其他：